NSA 的軟體逆向工程框架 Ghidra 曝出漏洞

前陣子我們報導過關於軟體逆向工程（sre）框架 ghidra 開源的訊息，ghidra 是由美國****局（nsa，national security agency）的研究理事會為 nsa 的網路安全任務開發的軟體逆向工程（sre）框架，它有助於分析惡意**和病毒等惡意軟體，並可以讓網路安全專業人員更好地了解其網路和系統中的潛在漏洞。

ghidra 強大研發背景與應用能力讓開發者驚嘆，目前其 github star 數已經超過了 11k。但是近日它卻被發現存在乙個漏洞。雖然軟體**現漏洞是挺正常的事，但是由於這個專案的屬性和它的背景，再加上超高的關注度，曝出這樣乙個漏洞還是形成了比較大的反差，也讓人感興趣。

研究者發現在 ghidra 載入工程的過程中會出現乙個 xml external entity expansion 外部實體擴充套件攻擊漏洞（xxe），攻擊者可以通過誘騙受害者開啟或恢復特製的專案，繼而以各種方式進行利用。